セキュアコーディングを静的解析で徹底する

静的解析を使ってセキュアなコーディングを徹底させるためにはCI環境に組み込み自動化を行います。ソース管理システムにソースコードをコミットしたタイミングや定期的に静的解析を実施することで、開発者は意識せずに結果を受け取る事ができます。ソースコードに変更があった際には必ず実行されるため、セキュアコーディングを徹底できます。また、ソースコードに問題があった場合でもすぐに結果を確認できるので、手戻りも少なく効率的に修正を行うことができます。

静的解析にはJtestを利用することができます。Jtestにはあらかじめ様々なセキュリティポリシーに対応したコンフィギュレーションが用意されているため、すぐにでも解析を実施することができます。また、それ以外にも多くのセキュリティチェックのルールを持っているため、開発チームのセキュリティポリシーにあわせてルールやコンフィギュレーションを選択することで、チーム全体で共通のセキュリティチェックを行うことができます。

Jtestでチェック可能なセキュリティポリシー 例

• PCI DSS
• CERT for Java
• OWASP Top 10
• OWASP API Security Top 10
• CWE Top 25
• CWE 4.4

CI 環境で実行したJtestのセキュリティチェックの結果は、ダッシュボードツールである Parasoft DTP へ自動で送られます。DTP上から解析結果を確認することができるため、開発者はすぐに問題のあるソースコードを確認できます。また、DTPではいくつかのセキュリティポリシー専用のダッシュボードが用意されているため、例えばPCI DSSのポリシーから逸脱していないかをひと目で把握できます。

Jtest及びDTPをPCI DSS準拠に活用頂いた例もあります。

富士ソフトが「システム引き継ぎ」と「PCI DSS準拠」を両立させた“秘策”とは

さらにそこからコンプライアンスレポートが出力できるため、脆弱性検証の証跡としても利用可能です。

セキュアコーディングを徹底させるために静的解析を採用するのは有効な手段です。CI環境と組み合わせることで、開発段階からセキュリティチェックを行い手戻りの手間を削減することができます。Jtestではあらかじめ用意されているセキュリティポリシーのコンフィギュレーションを使うことですぐにでも解析を始められます。DTPのダッシュボードによるセキュリティポリシー準拠の把握やレポート出力によってセキュアコーディングの徹底を助けます。

CI環境とJtest, DTPを組み合わせることで、開発の早い段階からセキュアコーディングを徹底し、後工程で発生していた開発の手戻りを削減することができます。